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Stremm© 


ROBERT BOSCH GMBH, 70442 STUTTGART 

R. 305774 

Fernprogrammieren eines programmgesteuerten Gerats 
Stand der Technik 

Die vorliegende Erfindung betrifft Verfahren zum 
Fernprogrammieren eines programmgesteuerten Gerats 
sowie eine Anordnung mit einer Schnittstelle zum 
Empfangen von Programmdaten und einer Legitimation, 
und einem f ernprogrammierbaren programmgesteuerten 
Gerat, das einen Prozessor und einen Programmspei- 
cher umf asst . 

In modernen Fahrzeugen werden zunehmend elektroni- 
sche Steuereinheiten zur Steuerung und Regelung 
verschiedenster Funktionen des Fahrzeugs einge- 
setzt. Vor allem ein Betrieb von Fahrzeugmotoren 
wird mittels solcher Steuereinheiten gesteuert. 
Elektronische Steuereinheiten bedurfen zur Ausfiih- 
rung ihrer Funktion eines EDV-Programms . Haufig 
muss dieses EDV-Programm nachtraglich abgeandert 
werden, weil namlich Programmf ehler entdeckt wer- 
den, oder aber vorgegebene Werte fur Betriebspara- 
meter einer von der Steuereinheit gesteuerten Vor- 
richtung aktualisiert oder Funktionen des EDV- 
Programms erweitert oder eingeschrankt werden sol- 
len. Zu diesem Zweck verfugt die Steuereinheit uber 
eine Schnittstelle, so dass entsprechende Modifika- 
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tionen des EDV-Programms in die Steuereinheit ein- 
gegeben und dort in einem Programmspeicher abge- 
speichert werden konnen. Das Fahrzeug muss dazu je- 
doch eine Werkstatt aufsuchen, wo mit einem soge- 
nannten Werkstatttester die neuen Programmdaten in 
die Steuereinheit eingespielt werden. Da das Pro- 
gramm in der Regel vertraulicher Art ist und auch 
jegliche unbefugte Manipulation der Arbeitsweise 
der Steuereinheit - beispielsweise aus Griinden der 
Haftung und/oder der Betriebssicherheit des Fahr- 
zeugs - verhindert werden muss, erfolgt die Uber- 
tragung der Programmdaten unter Verwendung von 
durch den Fahrzeughersteller spezif izierten Ve'r- 
s chilis selungsmechani smen oder Schlusseln. Die ge- 
heimen Schlussel werden vom Hersteller im Werk- 
statttester abgelegt und werden vom Werkstatttester 
vor der Neuprogrammierung der Steuereinheit als 
dessen Legitimation vor der Steuereinheit verwen- 
det. Dabei ist die Steuereinheit vor einer direkten 
Manipulation geschutzt, so dass es auch nicht mog- 
lich ist, durch unbefugten Zugriff auf die Steuer- 
einheit an deren Erkennungsalgorithmen fur die Le- 
gitimation zu gelangen und daraus die Legitimation 
abzuleiten, Um einen umstandlichen und zeitrauben- 
den Werkstattbesuch zu vermeiden, ist es wiinschens- 
wert, die Steuereinheit aus der Ferne programmieren 
zu konnen, ohne dabei jedoch Abstriche bei der Ma- 
nipulationssicherheit in Kauf nehmen zu miissen. 

Aus der DE 100 01 130 Al sind eine Anordnung und 
ein Verfahren zum Fernprogrammieren einer einen Mo- 
tor eines Fahrzeuges steuernden fernprogram- 
mierbaren Steuereinheit bekarmt. Zur Anordnung ge- 
hort eine Schnittstelle zum Empfangen von Programm- 


daten von einer entfernten Kontrollstelle uber eine 
drahtlose Fernverbindung . An die Steuereinheit des 
Fahrzeugs zu ubertragende Programmdaten werden an 
der Schnittstelle in einem Puf f erspeicher zwischen- 
gespeichert und anschlieSend in einen Programmspei- 
cher der Steuereinheit iibertragen. Die Pufferung 
der Programmdaten ist aufgrund der oftmals instabi- 
len drahtlosen Fernverbindung notwendig, bei der es 
haufig zu Storungen wie zum Beispiel einer fehler- 
haften Datenubertragung oder Unterbrechungen der 
Verbindung kommen kann. Erst wenn die Programmdaten 
vollstandig empfangen worden sind, konnen sie in 
den Speicher der Steuereinheit eingegeben werden, 
da wahrend des Vorganges der Eingabe der Programm- 
daten in den Speicher der Steuereinheit ein Betrieb 
des Fahrzeuges unterbrochen ist . Wiirden die Pro- 
grammdaten, ohne sie zu puf fern, direkt in den 
Speicher der Steuereinheit eingegeben werden, so 
ware der Betrieb des Fahrzeuges wahrend der gesam- 
ten fur die Fernubertragung der Programmdaten von 
der Kontrollstelle in den Puf f erspeicher benotigten 
Zeitdauer unterbrochen, was infolge von Storungen 
bei der Fernubertragung mitunter unverhaltnismassig 
lange dauern kann, 

Ein Problem ergibt sich hierbei aber hinsichtlich 
der Legitimation, die an die Steuereinheit ubertra- 
gen werden muss, damit diese die Programmdaten, die 
vom Puf f erspeicher an sie ubertragen werden, akzep- 
tiert. Es ist vom Hersteller nicht erwunscht, diese 
Legitimation im- Fahrzeug selber dauerhaft physika- 
lisch zu speichern, weil dem Hersteller dadurch ei- 
ne Kontrolle uber die Geheimhaltung bzw. die 


Verbreitung der Legitimation aus der Hand gegeben 
ist . 

Vorteile der Erfindung 

Durch die vorliegende Erfindung, wie in den Anspru- 
chen 1, 2 und 10 definiert, werden Verfahren zum 
Fernprogrammieren eines programmgesteuerten Gerats 
sowie eine Anordnung hierfur bereitgestellt , die 
eine Umprogrammierung des programmgesteuerten Ge- 
rats bei kurzestmoglicher Unterbrechung seines nor- 
malen Betriebs ermoglichen und bei denen die Ge- 
heimhaltung einer Legitimation gewahrleistet ist. 

Beim erf indungsgemafien Verfahren nach Anspruch 1 
wird eine unkontrollierte' Verbreitung der geheimen 
Legitimation dadurch unterbunden, dass die von der 
Kontrollstelle an die Schnittstelle f ernubertragene 
Legitimation von der Schnittstelle nicht wie die 
Programmdaten gepuf fert sondern unverzuglich an das 
Gerat ubertragen wird, wo sie auf ihre Gultigkeit 
gepruft wird. Ein physikalisches Speichern der Le- 
gitimation an der Schnittstelle wie im Fall der 
Programmdaten oder an einer anderen Stelle ist zum 
Funktionieren des Verfahrens nicht erf orderlich. 
Damit ist die Legitimation zwischen Schnittstelle 
und Gerat zu keiner Zeit auf eine Weise prasent, 
die einen unbefugten Zugriff auf die Legitimation 
ermoglichen wurde. 

Beim erf indungsgemaSen Verfahren nach Anspruch 2 
wird die Legitimation zwar wie die Programmdaten an 
der Schnittstelle gepuf fert, jedoch ist ihre Gul- 


tigkeitsdauer zeitlich begrenzt. Die Giiltigkeits- 
dauer sollte dabei so kurz gewahlt sein, dass sie 
bei einem unbefugten Zugriff auf die Legitimation 
ablauft, noch bevor mit der Legitimation eine unbe- 
fugte Programmierung des Gerat s vorgenommen werden 
kann. 

Besonders- bevorzugt werden die Legitimation 
und/oder die Programmdaten uber die Fernverbindung 
drahtlos ubertragen. Dies erlaubt dem Gerat prinzi- 
piell eine uneingeschrankte Mobilitat. Um eine Aus- 
wirkung von wahrend der drahtlosen Ubertragung hau- 
fig auftretenden Storungen zu minimieren, wird das 
Verfahren bei Auftreten einer solchen Storung wie- 
derholt, damit eine fehlerfreie Ubertragung der 
Programmdaten gewahrleistet ist. 

Von der Schnitts telle werden die Programmdaten 
und/oder die Legitimation bevorzugt erweise uber ei- 
ne verdrahtete Verbindung von der Schnittstelle zum 
Gerat ubertragen. Eine verdrahtete Verbindung zwi- 
schen Schnittstelle und Gerat ist insbesondere dann 
sinnvoll, wenn Schnittstelle und Gerat beispiels- 
weise beide in einer mobilen Vorrichtung wie z. B. 
einem Fahrzeug oder Roboter angeordnet sind. 

Es ist moglich/ vor Ubertragung der Programmdaten 
von der Kontrollstelle zur Schnittstelle zweite Da- 
ten aus einem Speicher des Gerats, beispielsweise 
dem Programmspeicher, auszulesen und zur Kontroll- 
stelle zu ubertragen. Auf diese Weise wird die Kon- 
trollstelle uber einen aktuellen Stand der im Gerat 
vorliegenden Daten informiert. Auf der Grundlage 
dieses aktuellen Standes der zweiten' Daten kann 
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dann die Kontrollstelle die neuen Programmdaten 
entsprechend zusammenstellen. Beispielsweise brau- 
chen Werte von Betriebsparametern oder Programmtei- 
le, die unverandert bleiben sollen, nicht unnoti- 
5 gerweise mit den Programmdaten von der Kontroll- 
stelle zur Schnittstelle ubertragen zu werden. Eine 
Datenmenge von zu ubertragenden Programmdaten lasst 
sich auf diese Weise reduzieren, was die Fernuber- 
tragung der Programmdaten beschleunigt und dadurch 

10 eine Storungsanf alligkeit der Fernubertragung ver- 
mindert. Vor der Fernubertragung zur Kontrollstelle 
werden die zweiten Daten vorteilhaf terweise an der 
Schnittstelle gepuf f ert . Die Pufferung erlaubt es, 
die zu ubertragenden zweiten Daten zunachst mit 

15 niedrigster Prioritat, d. h. ohne Beeintrachtigung 
von zeitgleich vom Gerat fur dessen normalen Be- 
trieb aus zuf uhrenden Aufgaben, bei der Schnittstel- 
le zu sammeln und sie dann in kurzer Zeit kontinu- 
ierlich zu ubertragen. So wird die Zeit sparine, in 

2 0 der der normale Betrieb des Gerat s unterbrochen 
werden muss, weil kein. gultiges Programm zum Steu- 
ern dieses Betriebs vorhanden ist, so kurz wie mog- 
lich gehalten. 

25 Es ist von Vorteil, nach der Ubernahme der Pro- 
grammdaten in den Puf f erspeicher einen Erfolg der 
Fernprogrammierung zu uberprufen und erst bei einem 
positiven Ergebnis der Uberprufung einen durch die 
Programmdaten gesteuerten Betrieb des Gerats aufzu- 

30 nehmen. Fehlerhafte Programmdaten werden dadurch 
friihzeitig erkannt und konnen korrigiert werden, 
bevor sie zu ' einem fehlerhaften Betrieb des fern- 
programmierbaren Gerats fiihren konnen. 


Bei dem Programmspeicher des f ernprogrammierbaren 
programmgesteuerten Gerats der erf indungsgemafien 
Anordnung kann es sich um einen beliebigen elekt- 
risch uberschreibbaren permanenten Speichertyp wie 
etwa ein EEPROM oder einen Flash- Speicher handeln. 
Da Flash-Speicher jeweils nur komplett uberschreib- 
bar sind, werden bei Verwendung eines solchen Spei- 
chers in dem oben betrachteten Fall, dass Teile der 
darin gespeicherten Programmdaten bei einer Umpro- 
grammierung unverandert bleiben sollen und deshalb 
nicht von der Kontrollstelle an die Schnittstelle 
ubertragen werden, diese Teile vom Flash-Speicher 
in den Puffer der Schnittstelle iibertragen und an- 
schlieSend zusammen mit den neuen Programmdaten in 
den Flash-Speicher ruckgeschrieben. 

Bei der erf indungsgemaSen Anordnung ist die 
Schnittstelle mittels einer drahtlosen Fernverbin- 
dung mit einer Kontrollstelle verbindbar. Bei der 
drahtlosen Fernverbindung kann es sich beispiels- 
weise um eine zellulare Mobil funkverbindung han- 
deln. Dabei empfangt das f ernprogrammierbare Gerat 
an der Schnittstelle die Programmdaten und die Le- 
gitimation, bei der es sich um eine Legitimation 
mit einer befristeten Gultigkeitsdauer handeln 
kann, von der Kontrollstelle. Die Schnittstelle 
gibt die Legitimation entweder unverziiglich und un- 
gepuffert an den Flash-Speicher weiter oder puffert 
sie bei befristeter Gultigkeit der Legitimation wie 
die Programmdaten in einem Puffer speicher , bevor 
sie die Legitimation an den Flash-Speicher weiter- 
gibt . Auf diese Weise wird vermieden, dass ein Un- 
befugter an irgendeiner Stelle der Anordnung auf 
eine Legitimation zugreifen kann, mit der er zu ei- 


nem spateren Zeitpunkt die Programmdaten manipulie- 
ren kann. 

Bevorzugterweise handelt es sich bei dem Gerat urn 
eine Steuereinheit , die eine Vorrichtung steuert . 
Dabei kann es sich bei der Vorrichtung beispiels- 
weise urn einen Motor oder ein anderes Teil eines 
Kraft fahrzeugs handeln. 

Besonders bevorzugt ist die Anordnung in einem 
Fahrzeug angeordnet. 

Nachfolgend wird die Erfindung unter Zuhilf enahme 
von Zeichnungen naher erlautert . 

Es zeigen: 

Fig. 1 eine schematische Darstellung eines fern- 
programmierbaren Gerates; 

Fig. 2 ein Flussdiagramm eines ersten erfin- 
dungsgemaSen Verfahrens; und 

Fig. 3 ein Flussdiagramm eines zweiten erf in- 
dungsgemaSen Verfahrens. 

Figur 1 zeigt schematisch ein f ernprogrammierbares 
Gerat 1, bei dem es sich um ein Fahrzeug handelt. 
Das Fahrzeug 1 umfasst einen Motor 2, eine Steuer- 
einheit 3, eine Schnittstelle 4, eine Antenne 5 
sowie eine verdrahtete Verbindung 6 zwischen der 
Steuereinheit 3 und der Schnittstelle 4 . Die 
Schnittstelle 4 weist einen Puf f erspeicher 7 auf, 
wahrend die Steuereinheit 3 uber einen Flash- 


Speicher 8 und einen Prozessor 12 verf ugt . Uber 
die Antenne 5 ist das Fahrzeug 1 mit einer Kon- 
trollstelle 9 drahtlos verbindbar. Die Kontroll- 
stelle 9 weist im Wesentlichen einen Computer 10 
sowie eine Antenne 11 auf . Beim Computer 10 kann 
es sich urn einen stationaren Rechner wie bei- 
spielsweise einen PersonalComputer handeln oder 
aber um ein mobiles Gerat, wie zum Beispiel ein 
Laptop. 

Im Betrieb des Fahrzeuges 1 wird dessen Motor 2 
von der Steuereinheit 3 gesteuert. Dazu sind im 
Flash- Speicher 8 der Steuereinheit 3 EDV- Programme 
zur Steuerung sowie vorgegebene Werte fur Be- 
triebsparameter des Motors 2 abgelegt. Diese EDV- 
Programme und Betriebsparameter miissen von Zeit zu 
Zeit modif iziert werden. Dies geschieht liber die 
Kontrollstelle 9. Hierzu wird mittels der Antennen 
5, 11 eine drahtlose Verbindung zwischen dem Fahr- 
zeug 1 und der Kontrollstelle 9 hergestellt. Uber 
diese drahtlose Verbindung werden neu'e Programm- 
daten von der Kontrollstelle 9 an das Fahrzeug 1 
ubertragen und im Puf f erspeicher 7 der Schnitt- 
stelle 4 zwischengespeichert . Anschliefeend uber- 
tragt die Kontrollstelle 9 eine Legitimation zur 
Schnittstelle 4 und von dieser an die Steuerein- 
heit 3. Nach positiver Uberprufung der Legitimati- 
on durch den Prozessor 12 der Steuereinheit 3 li- 
bernimmt der Flash- Speicher 8 die im Puff erspei- 
cher 7 zwischengespeicherten Programmdaten. Wah- 
rend dieser kurzen Zeit ist das Fahrzeug 1 auSer 
Betrieb. Fur die Fernprogrammierung des Flash- 
Speichers 8 werden zwei Verfahren bevorzugt, die 
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im Folgenden mit Hilfe von jeweils einem Flussdia- 
gramm naher erlautert werden. 

Figur 2 zeigt ein Flussdiagramm des ersten bevor- 
zugten erf indungsgemaSen Verfahrens. Zunachst wird 
in einem ersten Schritt 13 eine drahtlose Verbin- 
dung uber die Antennen 5, 11 zwischen der Kon- 
trollstelle 9 und dem Fahrzeug 1 hergestellt. Nach 
Herstellen der Verbindung werden im Schritt 14 Da- 
ten aus dem Flash- Speicher 8 ausgelesen und uber. 
die Verbindung 6 zum Puf f erspeicher 7 ubertragen, 
wo sie gepuffert werden. Im darauf folgenden 
Schritt 15 werden diese Daten vom Puf f erspeicher 7 
uber die Schnittstelle 4 und die drahtlose Verbin- 
dung zwischen den Antennen 5, 11 vom Fahrzeug 1 
zur Kontrollstelle 9 f erniibertragen . Die Daten um- 
fassen neben den eigentlichen Programmdaten eine 
oder mehrere aus den Programmdaten berechnete 
Priifsummen, anhand deren ein Erfolg dieser Fern- 
ubertragung in Schritt 16 vom Computer 10 der Kon- 
trollstelle 9 gepruft wird. 

Sofern wahrend der Fernubertragung der Daten Sto- 
rungen aufgetreten sind, weil die Fernubertragung 
zum Beispiel unterbrochen wurde oder fehlerhaft 
erfolgt ist 7 werden die Schritte 15 und 16 wieder- 
holt. War die Fernubertragung erfolgreich, so er- 
stellt die Kontrollstelle 9 im Schritt 17 mit dem 
Computer 10 auf Grundlage der erhaltenen Daten 
neue in den Flash-Speicher 8 zu programmierende 
Programmdaten. Insbesondere pruft der Computer 10 , 
welche Betriebsparameter geandert werden miissen 
oder ob das EDV-Programm des Flash- Speichers 8 er- 
weitert oder korrigiert werden muss. 
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Nach Erstellen der neuen Programmdaten werden die- 
se sowie daraus berechnete Prufsummen uber die 
drahtlose Verbindung zwischen den Antennen 5, 11 
von der Kontrollstelle 9 in Schritt 18 an die 
Schnittstelle 4 des Fahrzeuges 1 ubertragen. Dort 
werden die Programmdaten und Prufsummen im Puffer- 
speicher 7 in Schritt 19 zwischengespeichert . 

Die Schnittstelle 4 uberpriift in Schritt 20 anhand 
der Prufsummen die Unversehrtheit der ubertragenen 
Programmdaten. Wenn sie einen Fehler in den Pro- 
grammdaten feststellt, kehrt sie zu Schritt 18 zu- 
riick, um eine erneute Ubertragung zu veranlassen. 

Sobald die Programmdaten in dem Puf f erspeicher 7 
als fehlerfrei beurteilt worden sind, ubertragt 
die Kontrollstelle 9 in Schritt 21 eine Legitima- 
tion uber die drahtlose Verbindung der Antennen 5, 
11 zur Schnittstelle 4. Von der Schnittstelle 4 
wird die Legitimation in Schritt 22 unverziiglich 
und ungepuffert uber die verdrahtete Verbindung 6 
zur Steuereinheit 3 ubertragen. Nach Erhalt der 
Legitimation uberpruft der Prozessor 12 der Steue- 
reeinheit 3 in Schritt 23 die Legitimation auf ih- 
re Gultigkeit. Die Legitimation wird an keiner 
Stelle langer gespeichert, als notig ist, damit 
der Prozessor 12 uber ihre Gultigkeit entscheiden 
kann. Ein unkontrollierter Zugriff auf die Legiti- 
mation wird dadurch verhindert . 

Erweist sich die Legitimation in Schritt 23 als 
nicht giiltig, so fuhrt dies zu einem Abbruch 24 
des Verf ahrens . Wird die Gultigkeit der Legiti- 
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mation f estgestellt , so ubernimmt der Flash- 
Speicher 8 in Schritt 2 5 die im Puf f erspeicher 7 
zwischengespeicherten Programmdaten. 

In Schritt 2 6 wird der normale Betrieb der Steuer- 
einheit 3 anhand des nun im Flash- Speicher 8 ge- 
speicherten aktualisierten Programms und damit des 
Fahrzeuges 1 wieder auf genommen . Es erfolgt in 
Schritt 27 eine ent sprechende Ruckmeldung an ■ die 
Kontrollstelle 9. Daraufhin wird in Schritt 28 die 
drahtlose Verbindung zwischen Fahrzeug 1 und Kon- 
trollstelle 9 abgebrochen und das Verfahren been- 
det . 

Ein weiteres erf indungsgemafies Verfahren zur Fern- 
programmierung des Flash-Speichers 8 ist im Fluss- 
diagramm der Figur 3 zu sehen. Dieses Verfahren 
wird wie das zuvor beschriebene Verfahren mit den 
gleichen Schritten 13 bis 21 eingeleitet, so dass 
an dieser Stelle zur Beschreibung der Verfahrens- 
schritte 13 bis 21 in Fig. 3 auf die entsprechende 
Beschreibung der Verf ahrensschritte 13 bis 21 in 
Figur 2 verwiesen werden kann. Nach Ubersenden der 
Legitimation von der Kontrollstelle 9 zur Schnitt- 
stelle 7 in Schritt 21 weicht das zweite Verfahren 
gemafi Fig. 3 im nachf olgenden Schritt 29 vom ers- 
ten Verfahren dahingehend ab, als in Schritt 2 9 
die Legitimation im Puf f erspeicher 7 gepuffert 
wird, D. h. die Schnittstelle 4 braucht nicht zwi- 
schen Programmdaten und Legitimation unterscheiden 
zu konnen; sie kann daher einfacher aufgebaut sein 
als im Fall der Fig. 2. Im Unterschied zum Verfah- 
ren der Fig. 2 handelt es sich beim Verfahren der 
Fig. 3 urn eine Legitimation mit zeitlich begrenz- 
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ter Gultigkeitsdauer . Das bedeutet, dass die Legi- 
timation vom Prozessor 12 der Steuereinheit 3 nur 
innerhalb eines bestimmten vorgegebenen Zeitinter- 
valls als gultig anerkannt wird. Aus diesem Grund 
bedeutet auch das physikalische Zwischenspeichern 
der Legitimation im Puf f erspeicher 7 keine signi- 
fikante Beeintrachtigung der Sicherheit vor Mani- 
pulation, denn wenn es einem Unbefugten gelingt, 
die Legitimation herauszuf inden, wird er bei einem 
Manipulationsversuch dennoch daran scheitern, dass 
der Prozessor 12 die zwischenzeitlich abgelaufene 
Legitimation nicht mehr als gultig anerkennt . 

In Schritt 3 0 wird die Legitimation von der 
Schnittstelle 4 zur Speichereinheit 3 ubertragen 
und in Schritt 31 vom Prozessor 12 auf ihre Giil- 
tigkeit uberpruf t . Wie erwahnt umfasst diese Giil- 
tigkeitsuberprufung auch eine Uberprufung hin- 
sichtlich einer zeitlichen Gultigkeit der Legiti- 
mation. Fallt die Entscheidung die Gultigkeit der 
Legitimation negativ aus und wird die Legitimation 
als ungultig eingestuft, so folgt mit Schritt 24 
ein Abbruch des Verf ahrens . Wird die Legitimation 
als gultig anerkannt, so wird mit den Schritten 25 
bis 28 fortgef ahren, die den Schritten 25 bis 28 
des Flussdiagramms der Figur 2 entsprechen und zu 
deren Beschreibung an dieser Stelle wiederum auf 
die Beschreibung der Figur 2 verwiesen wird. 

Bei den vorgestellten Verfahren handelt es sich urn 
besonders bevorzugte erf indungsgemafie Verfahren. 
Es sind daruber hinaus auch Variationen der Ver- 
fahren moglich, ohne den Erf indungsgedanken zu 
verlassen. Beispielsweise ist es moglich, beim 
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zweiten Verfahren gemaS der Figur 3 den Schritt 21 
des Ubertragens der Legitimation vor den Schritten 
18 bis 2 0 der Ubertragung der Programmdaten durch- 
zufuhren, so dass, wenn anschlieSend alle empfan- 
genen Daten in der Reihenfolge ihres Empfangs 
durch die Schnittstelle an das Gerat ubertragen 
werden, die Legitimation zuerst eintrifft und vom 
Prozessor 12 gepruft werden kann. 

Eine zusatzliche Absicherung ist erreichbar, wenn 
jeweils zwischen die Schritte 25 der Ubernahme der 
Programmdaten durch das Gerat und 26 der Wieder- 
aufnahme des normalen Betriebs eine Prufung von 
zusammen mit den Programmdaten an das Gerat liber- 
tragenen Prufsummen durch den Prozessor 12 statt- 
findet und bei Feststellung eines Fehlers der 
Schritt 25 wiederholt wird. 

Auch kann der Schnittstelle 4 eine eigene Legiti- 
mation zugeordnet werden, die bei jeder Neupro- 
grammierung des Gerat s genauso wie die Legitimati- 
on der Kontrollstelle an das Gerat ubertragen wer- 
den muss und gepruft wird, bevor das Gerat eine 
Neuprogrammierung zulasst . 


-15- 


R. 305774 

Patentanspriiche 

1. Verfahren zum Fernprogrammieren eines pro- 
grammgesteuerten Gerats (3) mit den Schritten 

(a) Fernubertragen von Programmdaten von 
einer Kontrollstelle (9) uber eine 
Fernverbindung an eine mit dem Gerat 
(3) verbundene Schnittstelle (4) ; 

(b) Puffern der Programmdaten an der 
Schnittstelle (4) ; 

(c) Fernubertragen einer Legitimation von 
der Kontrollstelle (9) an die Schnitt- 
stelle (4) ; 

(d) ungepufferte Weitergabe der Legitima- 
tion an das Gerat (3) ; 

(e) Prufen der Legitimation durch das Ge- 
rat (3) ; 

(f) bei positiver Legitimation Eintragen 
der Programmdaten in einen Programm- 
speicher (8) des Gerats (3) . 

2 • Verfahren zum Fernprogrammieren eines pro- 
grammgesteuerten Gerats (3) mit den Schritten 

(a) Fernubertragen von Programmdaten von 
einer Kontrollstelle (9) uber eine 
Fernverbindung an eine mit dem Gerat 
(3) verbundene Schnittstelle (4) ; 

(b) Puffern der Programmdaten an der 
Schnittstelle (4) ; 

(c) Fernubertragen einer Legitimation von 
der Kontrollstelle (9) an die Schnitt- 
stelle (4) ; 
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(d) Weitergabe der Legitimation an das Ge- 
rat (3) ; 

(e) Priifen der Legitimation durch das Ge- 
rat (3) , wobei die Prufung ein Prufen 
einer Giiltigkeitsdauer der Legitimati- 
on umfasst; 

(f) bei positiver Legitimation Eintragen 
der Programmdaten in einen Programm- 
speicher (8) des Gerats (3) . 

Verfahren nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet , dass die Legitimation und/oder 
die Programmdaten liber die Fernverbindung 
drahtlos libertragen werden. 

Verfahren nach Anspruch 3 , dadurch gekenn- 
zeichnet / dass das Verfahren bei Auftreten ei- 
ner Storung der drahtlosen Ubertragung wieder- 
holt wird. 

Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet , dass die Pro- 
grammdaten und/oder die Legitimation uber eine 
verdrahtete Verbindung (6) von der Schnitt- 
stelle (4) zum Gerat (3) libertragen wird. 

Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass vor der 
Ubertragung der Programmdaten zur Schnitt stel- 
le (4) zweite Daten aus einem Speicher (8) des 
Gerats (3) ausgelesen und zur Kontrollstelle 
(9) libertragen werden. 
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Verfahren nach Anspruch 6, dadurch gekenn- 
zeichnet, dass die zweiten Daten an der 
Schnittstelle (4) gepuffert werden, bevor sie 
zur Kontrollstelle (9) iibertragen werden. 

Verfahren nach einem der Anspruche 6 oder 7, 
dadurch gekennzeichnet , dass die Kontrollstel- 
le (9) die Programmdaten auf Grundlage der 
zweiten Daten zusammenstellt . 

Verfahren nach einem der vorhergehenden An- 
spruche, dadurch gekennzeichnet, dass nach der 
Ubernahme der Programmdaten in den Programm- 
speicher (8) ein Erfolg der Fernprogrammierung 
uberpruft und bei einem positiven Ergebnis der. 
Uberprufung ein durch die Programmdaten ge- 
steuerter Betrieb des Gerats (3) aufgenommen 
wird. 

Anordnung, insbesondere zur Ausfiihrung eines 
Verfahrens nach einem der vorhergehenden An- 
spruche, mit einer Schnittstelle (4) zum Emp- 
fangen von Programmdaten und einer Legitimati- 
on, und einem f ernprogrammierbaren, programm- 
gesteuerten Gerat (3) , das einen Prozessor 
(12) und einen Programmspeicher (8) umfasst, 
dadurch gekennzeichnet, dass die Schnittstelle 
(4) eingerichtet ist, empfangene Programmdaten 
zu puffern, eine empfangene Legitimation an 
das Gerat (3) weiterzuleiten, und die gepuf- 
fert en Programmdaten nach positiver Prufung 
der Legitimation durch das Gerat (3) an das 
Gerat (3) zu iibertragen. 
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Anordnung nach Anspruch 10, dadurch gekenn- 
zeichnet, dass der Programmspeicher (8) ein 
Flash-Speicher oder ein EEPROM ist. 

Anordnung nach Anspruch 10 oder 11, dadurch 
gekennzeichnet, dass die Schnittstelle (4) 
mittels einer drahtlosen Fernverbindung mit 
einer Kontrollstelle (9) verbindbar ist. 

Anordnung nach einem der Anspruche 10 bis 12, 
dadurch gekennzeichnet, dass die Schnittstelle 
(4) die Legitimation von der Kontrollstelle 
(9) empfangt und ungepuffert an das Gerat (3) 
weitergibt . 

Anordnung nach einem der Anspruche 10 bis 13, 
dadurch gekennzeichnet, dass das Gerat (3) ei- 
ne Steuereinheit ist, die eine Vorrichtung (2) 
steuert . 

Anordnung nach Anspruch 14 , dadurch gekenn- 
zeichnet, dass die Vorrichtung (2) ein Kraft- 
fahrzeug oder ein Teil eines Kraf tf ahrzeugs 
oder eine als Teil eines Kraf tf ahrzeugs ver- 
wendbare Vorrichtung wie etwa ein Motor ist. 

Kraf tf ahrzeug mit einer Anordnung nach einem 
der Anspruche 10 bis 15. 
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R. 305774 

Zusammenf assung 

Es werden Verfahren zum Pernprogrammieren eines 
programmgesteuerten Gerat s (3) sowie eine Anord- 
nung mit einer Schnittstelle (4) zum Empf angen von 
Programmdaten und einer Legitimation, und einem 
f ernprogr ammi erbaren , programmgesteuerten Gerat 
(3) , das einen Prozessor (12) und einen Programm- 
speicher (8) umfasst, beschrieben. Bei den Verfah- 
ren werden Programmdaten von einer Kontrollstelle 
(9) zu einer Schnittstelle (4) f emiibertragen und 
dort in einem Puf f erspeicher (7) zwischengespei- 
chert. AnschlieSend wird eine Legitimation von der 
Kontrollstelle (9) zur Schnittstelle (4) und von 
dieser zum Gerat (3) ubertragen. Das Gerat (3) u- 
berpruft die Legitimation und ubernimmt bei posi- 
tivem Ergebnis die Programmdaten aus dem Puffer- 
speicher (7) . 


Fig. 1 
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